Symbiosis Bitcoin 跨链桥因 BridgeV2 漏洞遭利用，铸造出 461 亿枚伪造代币

Symbiosis 披露称，其 Bitcoin 跨链桥于 2026 年 9 月 11 日发生安全漏洞，此前其 BridgeV2 智能合约在 UTC 时间约 04:28 遭到利用。攻击者利用合约漏洞铸造了约 461 亿枚伪造的 syBTC 代币——超过比特币全部 2100 万枚存币量的 2,000 倍——但实际仅售出了约 4.39 枚封装比特币，获利约 33.6 万美元。此次攻击源于一个允许未经授权铸造无抵押合成比特币代币的漏洞。这起事件是近几周内针对比特币封装平台的第三起类似攻击，此前 Blockstream 的 Liquid Network 和 Nomic 也遭遇了类似攻击，凸显出跨链比特币基础设施中持续存在的漏洞。

攻击者利用 BridgeV2 合约铸造 461 亿枚伪造代币

区块链安全公司 Blockaid 发现了对 BNB Chain 上 Symbiosis BridgeV2 合约的一次可疑调用。根据 Blockaid 的分析，该调用触发了一个经过签名验证的“receive”函数，铸造出数量巨大的原始 syBTC，并将其直接转入一个新创建的钱包地址。Symbiosis 尚未发布完整的技术复盘，解释合约逻辑究竟是如何被绕过的。

攻击者生成了约 461 亿枚 syBTC，这一数字比特币固定的 2100 万枚存币量高出 2,000 多倍。这是一种通过受损跨链桥合约铸造的无抵押合成资产，并非实际比特币网络上新创建的比特币。据 Blockaid 称，攻击者仅通过以太坊上的 Uniswap v4 卖出了约 4.39 枚封装比特币（WBTC），获得约 33.6 万美元收益。DeFiLlama 将该事件归类为“无抵押跨链铸造”，并记录了同样的 33.6 万美元亏损金额。剩余数百亿枚伪造 syBTC 代币无人购买——没有足够的真实流动性将其兑换成有意义的价值。

Symbiosis 找回 15 BTC 并提供 20% 奖金

Symbiosis 表示，其成功追回约 15 BTC——按当前价格计算价值约 115 万美元——并将这些资金转入由团队控制的多重签名钱包。为鼓励攻击者归还其余资金，该协议提供了相当于被挪用资产 20% 的白帽奖金，截止日期设为 9 月 13 日。Symbiosis 表示，期限结束后，将向任何提供能够促成进一步资金追回的信息的人提供同样 20% 的奖励。

Symbiosis 告知受影响的流动性提供者，团队正在直接联系他们，并准备补偿框架，但尚未公布该计划的最终亏损金额或资格标准。

Symbiosis 通过 Chainflip 和 THORChain 恢复比特币交易

Symbiosis 暂停了原生比特币路由，但保留其他跨链通道运行。兼容 EVM 的链、TRON 和 TON 之间的路由始终保持运行，该协议的 Octopools 流动性产品也持续正常运作，没有受到中断。此次攻击被严格控制在 Bitcoin 跨链桥范围内，并未扩散至 Symbiosis 更广泛的基础设施。

为帮助用户恢复部分正常使用体验，Symbiosis 通过第三方集成合作伙伴 Chainflip 和 THORChain 恢复了比特币兑换功能，尽管其自有的 Bitcoin 跨链桥仍处于暂停状态，且尚未公布恢复日期。该协议表示，在恢复原生路由上线前，团队仍在与安全研究人员合作评估全部影响。

近几周内的第三起 Bitcoin 跨链桥攻击

在 Symbiosis 遭受攻击前不到一周，Blockstream 的 Liquid Network 遭遇了类似攻击，有人铸造了约 4,000 枚无抵押 LBTC，并将其兑换为网络持有的真实比特币。该攻击者后来归还了约 3,400 BTC，但 Blockstream 拒绝就仍未归还的 598.5 BTC 支付奖金。据报道，Nomic 也经历了自身的相关漏洞，在类似条件下长时间未被发现。

这三起事件都遵循了类似的操作方式：利用比特币封装平台的智能合约，铸造声称由真实 BTC 支持的代币，然后在有人发现供应量对不上之前尝试将其套现。今年早些时候，专注于 Polkadot 的 Hyperbridge 也出现了类似情况，攻击者铸造了 10 亿枚跨链 DOT，但最终仅提取了约 23.7 万美元。

Symbiosis 自约五年前上线以来已处理超过 1000 亿美元的累计交易额，目前持有的总锁仓价值约为 700 万美元。

常见问题

Symbiosis 的 Bitcoin 跨链桥是如何在 2026 年 9 月 11 日遭到攻击的？

攻击者利用了 BridgeV2 智能合约中的漏洞，在 2026 年 9 月 11 日 UTC 时间约 04:28 通过受损的 receive 函数铸造了 461 亿枚伪造 syBTC 代币。

这 461 亿枚伪造代币造成的实际财务损失是多少？

尽管铸造了 461 亿枚伪造 syBTC 代币，攻击者由于流动性有限，仅通过 Uniswap v4 售出了约 4.39 枚封装比特币，获得约 33.6 万美元收益。

攻击发生后，Symbiosis 采取了哪些追回措施？

Symbiosis 追回了约 15 BTC（约 115 万美元），将资金转入由团队控制的多重签名钱包，提供了截止日期为 9 月 13 日的 20% 白帽奖金，并通过 Chainflip 和 THORChain 恢复了比特币交易，同时继续暂停原生 Bitcoin 跨链桥。